CVE-2025-66027
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Rallly to narzędzie do planowania i współpracy open-source. Przed wersją 4.5.6 podatność na ujawnienie informacji wystawia szczegóły uczestników, w tym nazwiska i adresy e-mail, przez endpoint /api/trpc/polls.get,polls.participants.list, nawet gdy włączone są funkcje prywatności Pro. To omija zamierzone mechanizmy prywatności, które powinny uniemożliwić uczestnikom przeglądanie danych osobowych innych użytkowników. Problem został naprawiony w wersji 4.5.6.
Ocena ryzyka
Ryzyko polega na naruszeniu prywatności uczestników, ponieważ ich dane osobowe mogą być widoczne dla innych uczestników, co może prowadzić do nieautoryzowanego wykorzystania informacji lub naruszenia przepisów o ochronie danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Rallly do wersji 4.5.6 lub nowszej, która zawiera poprawkę. Należy również sprawdzić konfigurację prywatności i upewnić się, że funkcje Pro są poprawnie wdrożone.
Inne podatności w Rallly
Zobacz wszystkie- CVE-2025-65021Krytyczne
Rallly przed wersją 4.5.4 ma podatność IDOR w funkcji finalizacji ankiety. Każdy uwierzytelniony użytkownik może sfinalizować ankietę, której nie jest właścicielem, manipulując parametrem pollId w żądaniu, co pozwala na nieautoryzowaną finalizację i konwersję ankiet na wydarzenia.
- CVE-2026-92565Średnie
Podatność ujawnienia informacji w Rallly przed wersją 4.15.0 w procedurze tRPC polls.get, która zwraca nazwiska i adresy e-mail zaproszonych osób na zaplanowane wydarzenia nieuwierzytelnionym wywołującym. Atakujący mogą uzyskać identyfikator urlId ankiety z publicznych linków zaproszeń, aby pobrać wrażliwe informacje o zaproszonych, niezależnie od ustawień prywatności.
Oryginalny opis (angielski, źródło NVD)
Rallly is an open-source scheduling and collaboration tool. Prior to version 4.5.6, an information disclosure vulnerability exposes participant details, including names and email addresses through the /api/trpc/polls.get,polls.participants.list endpoint, even when Pro privacy features are enabled. This bypasses intended privacy controls that should prevent participants from viewing other users’ personal information. This issue has been patched in version 4.5.6.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS